WYSZUKIWANIE:

Producenci powinni odpowiadać za luki w oprogramowaniu?

securitystandard.pl
10 marca 2010 06:21
, securitystandard
reklama
Polecamy
Rekomendacje
O tym też piszemy...
10 przełomowych technologii, które zmieniły świat
Zastanawialiście się kiedyś, jak wyglądałby świat bez satelitów telekomunikacyjnych, ogólnodostępnych komputerów osobistych, szerokopasmowego dostępu...
Światło nośnikiem danych w komputerze - Intel ma prototyp układu
W laboratoriach Intela powstał prototyp krzemowego połączenia optycznego ze zintegrowanymi laserami, mogącego przesyłać dane z szybkością 50 Gb/s.
Najgłośniejsze przecieki z WikiLeaks
Lipiec 2010 r. - serwis WikiLeaks wchodzi w posiadanie ponad 90 tys. dokumentów wojska i wywiadu, zawierających szczegółowe informacje dotyczące...
Pecet własnej roboty
Własnoręcznie złożony pecet to nie tylko oszczędność pieniędzy, która w zależności od konfiguracji może wynieść od dwustu nawet do kilku tysięcy...
StarCraft II. Wings of Liberty - porady jak grać, by wygrać
Gra StarCraft II. Wings of Liberty od 27 lipca jest oficjalnie dostępna w sprzedaży. Szczęśliwi posiadacze kopii gry z pewnością bezzwłocznie...
Procesor z turbodoładowaniem. Jak przyspieszyć CPU
Wydajność nowoczesnych procesorów Intela i AMD da się zwiększyć nawet o 30% bardzo łatwo i za darmo. Umożliwia to tryb turbo. Wyjaśniamy, jak działa...
Składanie komputera - wideoporadnik, jak samodzielnie złożyć zestaw PC
Oto krótki wideoporadnik, który przeprowadzi cię przez proces samodzielnego składania komputera. Z poszczególnych filmów dowiesz się jak zamontować...
Koalicja specjalistów ds. bezpieczeństwa z ponad 30 organizacji zachęca przedstawicieli firm do umieszczania w umowach z dostawcami oprogramowania klauzul, zobowiązujących twórców aplikacji do korzystania z ogólnie przyjętych zasad tworzenia bezpiecznego kodu.
Inicjatorami pomysłu są organizacje SANS Institute oraz Mitre Corp - ich przedstawiciele tłumaczą, iż wprowadzenie takich wymogów jest obecnie koniecznością i jedną z niewielu metod, która faktycznie może zmusić twórców oprogramowania do zadbania o bezpieczeństwo ich produktów.

Propozycja specjalistów jest prosta - chcą oni, by firmy kupujące aplikacje wymagały od ich twórców udowodnienia, iż kod powstał zgodnie z zasadami tworzenia bezpiecznego kodu. Jeśli później okaże się, że dostawca do takich zasad się nie stosował, to kontrahent będzie mógł żądać od niego odszkodowania. Podstawą do takich roszczeń mógłby być np. skuteczny atak na ową aplikację, przeprowadzony przez błąd, który nigdy nie powinien się w niej pojawić (gdyby była napisana zgodnie z zasadami).

"Prawie wszystkie ataki na oprogramowanie przeprowadzone są z wykorzystaniem prostych błędów programistycznych, które umożliwiają hakerom wprowadzenie złośliwego kodu. Obawiam się, że jedynym sposobem na wyplenienie tych błędów jest umieszczenie w umowach z dostawcami oprogramowania zapisów, w myśl których będą oni odpowiedzialni za straty powstałe w wyniku ataków przeprowadzonych przez takie luki" - komentuje Alan Paller, szef działu badań SANS Institute.

Warto wspomnieć, że specjaliści z SANS i Mitre opublikowali niedawno listę 25 najpoważniejszych błędów programistycznych - z dołączonego do niej raportu wynikało, że to właśnie wymienione w spisie błędy zostały wykorzystane we wszystkich głośniejszych atakach informatycznych ubiegłego roku (dotyczy to również słynnego ataku na Google i kilkadziesiąt innych amerykańskich firm, przeprowadzonego prawdopodobnie przez Chińczyków).

Na pierwszych trzech miejscach listy znalazły się następujące błędy programistyczne: buffer overflow (czyli błąd przepełnienia bufora - zwykle umożliwia nieautoryzowane uruchomienie kodu w systemie), SQL Injection oraz cross-site scripting (te luki umożliwiają umieszczenie w bazie danych lub na stronie WWW złośliwej zawartości).
Oceń:
Aktualna ocena (Głosów: 0)


olowek Wszystkie komentarze » Wasze komentarze (12) +DODAJ komentarz

KOMENTARZE

Redakcja IDG.pl nie ponosi odpowiedzialności za wypowiedzi Internautów opublikowane na stronach serwisu oraz zastrzega sobie prawo do redagowania, skracania bądź usuwania komentarzy zawierających treści zabronione przez prawo, uznawane za obraźliwie lub naruszające zasady współżycia społecznego. Osoby zamieszczające wypowiedzi naruszające prawo lub prawem chronione dobra osób trzecich mogą ponieść z tego tytułu odpowiedzialność karną lub cywilną.

  • ~Gość

  • ocena: brak oceny
  • IP: 85.128.36.194
  • 10-03-2010, 09:45

To będzie dość łatwe i stosunkowo tanie, gdy stosuje się architektury , metodologie i praktyki MS (MS patterns & practices wraz z nowym VS i uzupełnieniami). To będzie niestety niezbyt łatwe i kosztownen gdy stosuje się realnie istniejące rozwiązania open source do tworzenia (a jeszcze gorzej do rozwoju) większych systemów.

  • ~Jery

  • ocena: brak oceny
  • IP: 80.51.145.203
  • 10-03-2010, 09:58

A co to serwis linkow i komentarzy sponsorowanych?

  • ~Mołot

  • ocena: brak oceny
  • IP: 91.197.12.15
  • 10-03-2010, 10:17

Akurat MS nie bierze żadnej odpowiedzialności za błędy swoich aplikacji, więc o co chodzi?..

Ja jestem za obciążaniem odpowiedzialnością finansową do dziesięciokrotności kosztu licencji, i tylko za wady ukryte - czyli jeśli błąd był w sekcji o otwartym kodzie, i każdy łącznie z kupującym wiedział, bądź wykazując należytą staranność mógł o tym wiedzieć, to nie obwiniać sprzedawcy; tak jak to jest z tradycyjnymi towarami.

  • ~Gość

  • ocena: brak oceny
  • IP: 85.128.36.194
  • 10-03-2010, 11:45

Mołot: spróbuj zrozumiec: propozycja brania odpowiedzialności dotyczy przyszłych rozwiązań, przyszłych aplikacji. Być może jako obligatoryjny wymóg w licencjach lub inna biurokracja. Co nie jest łątw do spełnienia poza narzędziami i architekturami i metodologiami i wzorcami MS.

  • ~Mołot

  • ocena: brak oceny
  • IP: 91.197.12.15
  • 10-03-2010, 11:52

@IP: 85.128.36.194
A tobie się wydaje, że czego nie rozumiem?

Dla jasności - to, że MS nie bierze odpowiedzialności było komentarzem na zachwalanie praktyk MS - <ironia>które jak widać skutkują bardzo stabilnym kodem od samego MS, niepodatnym na wirusy czy włamy, nie wieszającym się i w ogóle.</ironia> Gdyby ich praktyki były OK, nie baliby się brać odpowiedzialności za szkody, jakie powodują (bo takowych by nie było, a w reklamie świetnie wygląda).

Nic nie mówiłem o nakładaniu odpowiedzialności wstecz; jeśli wydaje ci się, że to u mnie przeczytałeś, radzę się wyspać :D

  • ~phi

  • ocena: brak oceny
  • IP: 87.207.69.90
  • 10-03-2010, 15:52

Tadziu, Ty nasz trollu, metodologię Microsoftu znamy na wylot przy okazji instalowania kolejnych poprawek do poprawek, które naprawiają to, co zepsuł poprzedni Service Pack i wprowadzają nieznane dotąd błędy.
Metodologia ta jest po prostu świetna, ale jej celem jest przynoszenie pieniędzy Microsoftowi a nie dostarczanie bezpiecznych systemów końcowemu odbiorcy. Kropka.

  • ~Gość

  • ocena: brak oceny
  • IP: 77.255.33.173
  • 10-03-2010, 16:44

ladnie brzmi, ale malorealne

  • ~fffatman

  • ocena: brak oceny
  • IP: 86.75.163.92
  • 10-03-2010, 16:44

@tad:

Microsoft VBScript compilation error ''800a03e9''

Out of memory

/ocena/dzial.asp, line 0

  • ~fffatman

  • ocena: brak oceny
  • IP: 86.75.163.92
  • 10-03-2010, 16:45

A czasem zamiast komentu: HTTP/1.1 500 Server Error

  • ~phi

  • ocena: brak oceny
  • IP: 87.207.69.90
  • 10-03-2010, 17:24

@fffatman - taki komentarz też jest dobry, doskonale oddaje działanie narzedzi Microsoftu w rzekomo profesjonalnym wydaniu.

Więcej komentarzy »
Twój komentarz
Nick: Adres e-mail:
brak oceny 1 2 3 4 5
Treść komentarza

Uwaga: Adres www wpisujemy w specjalnych znacznikach [[www.adres.pl]]
Serwisy IDG: IDG.pl | PC World | Ranking Produktów PCW | Business Center PCW | Computerworld | NetWorld | Kino Domowe
CEO | CIO | CFO | Gamestar | Internet Standard | ITpedia | IT Standard
Warunki obsługi - Kontakt - Regulamin
Polityka prywatności - Serwis zgodny z ASME
Reklama - Licencjonowanie treści -
© Copyright 2010 International Data Group Poland S.A.
04-204 Warszawa ul. Jordanowska 12
tel.(+4822)321-78-00   fax(+4822)321-78-88